OWASP API Security Top 10
Cobertura basada en el riesgo de las deficiencias habituales de autorización, datos, recursos e inventario de API.
Pruebas de penetración
Pruebas de penetración de API
Una evaluación estructurada de los endpoints de API, las identidades, los permisos sobre objetos individuales, los flujos de datos y los controles contra el uso indebido, utilizando roles representativos y datos de prueba autorizados.
Alcance de la evaluación
Qué se somete a prueba
La cobertura final de las pruebas se acuerda durante la definición del alcance y se limita a los sistemas para los que se haya proporcionado autorización por escrito.
Autorización para objetos y funciones
Autenticación y ciclo de vida de los tokens
Validación de datos de entrada e inyección
Límites de frecuencia de solicitudes y consumo de recursos
Exposición de datos sensibles
Inventario, gestión de versiones e integraciones inseguras
Flujo de trabajo del encargo
Controlado desde la autorización hasta la prueba de verificación.
01
Alcance y autorización
Defina los objetivos, los sistemas aprobados, las restricciones, las ventanas de pruebas, los contactos y las reglas de actuación.
02
Descubrimiento
Defina la superficie de ataque autorizada, la arquitectura, los roles de usuario, los activos y los criterios de evaluación aplicables.
03
Pruebas controladas
Evalúe el alcance autorizado mediante métodos manuales y técnicos adecuados para el entorno.
04
Validación
Confirme los hallazgos de forma segura, elimine los falsos positivos y determine el impacto real a nivel técnico y empresarial.
05
Elaboración de informes
Reciba hallazgos respaldados por evidencias, calificaciones de riesgo, un resumen ejecutivo y prioridades de subsanación.
06
Revisión de las medidas de subsanación
Revise las medidas correctivas propuestas y aclare las prioridades de implementación con el equipo de evaluación.
07
Repetición de las pruebas
Verifique las correcciones acordadas y registre si cada hallazgo evaluado se ha resuelto, se ha mitigado o sigue pendiente.
Referencias de la evaluación
Normas y directrices del sector
Guía de pruebas de seguridad web de OWASP
Técnicas de prueba complementarias para la autenticación, las sesiones, el tratamiento de entradas y el transporte.
NIST SP 800-115
Planificación de la evaluación, gestión de evidencias, análisis y mitigación.
Las normas orientan el alcance y la cobertura de las pruebas. Una evaluación no constituye por sí misma una certificación ni garantiza el cumplimiento normativo.
Elaboración de informes
Qué recibe
Resumen de la cobertura de endpoints y roles
Hallazgos validados con evidencias de las solicitudes
Análisis de escenarios de uso indebido e impacto empresarial
Orientaciones de subsanación para el equipo técnico
Repetición de la prueba para verificación
Defina un alcance adecuado para las pruebas.
Consulte con DIGITPOL los sistemas, los objetivos, el nivel de acceso y las evidencias necesarias.